1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных (далее — «ПДн») в сервисе alfa-analytics и разработана в соответствии с:
— Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (в редакции Федеральных законов от 30.11.2024 № 420-ФЗ и от 24.06.2025 № 156-ФЗ);
— Постановлением Правительства РФ от 01.11.2012 № 1119 (требования к защите ПДн при их обработке в информационных системах);
— Постановлением Правительства РФ от 15.09.2008 № 687 (обработка ПДн без средств автоматизации);
— Постановлением Правительства РФ от 19.10.2023 № 1739 (подтверждение личности при отдельных действиях);
— Приказом ФСТЭК России от 18.02.2013 № 21 (состав и содержание мер защиты);
— иными нормативными правовыми актами Российской Федерации в области персональных данных, включая акты, регулирующие порядок уведомления Роскомнадзора об инцидентах и обезличивание персональных данных.
1.2. Политика является общедоступным документом, размещается по адресу alfa-analytics.ru/privacy.html и применяется ко всем процессам обработки ПДн, осуществляемым Оператором.
1.3. Согласие субъекта на обработку ПДн, когда оно требуется, оформляется отдельным документом и не может быть получено путём проставления отметки в общем чек-боксе с договором или иным документом (ч. 1 ст. 9 152-ФЗ в редакции, действующей с 01.09.2025).
| Наименование | Индивидуальный предприниматель Постников Павел Владимирович |
|---|---|
| ИНН / ОГРНИП | 720505361554 / 318723200026953 |
| Адрес | 625028, г. Тюмень, ул. Родниковая, д. 46 |
| Электронная почта | support@alfa-analytics.ru |
| Сайт | alfa-analytics.ru |
| Ответственный за организацию обработки ПДн | Постников Павел Владимирович (ст. 18.1 ч. 1 п. 1 152-ФЗ). Обращения — на support@alfa-analytics.ru с пометкой «ПДн» |
3.1. Как оператор ИП Постников П. В. обрабатывает ПДн: представителей и сотрудников Заказчиков, получающих доступ в Личный кабинет; лиц, оставивших обращение через сайт сервиса; контрагентов и их представителей.
3.2. Как лицо, осуществляющее обработку по поручению оператора (ч. 3 ст. 6 152-ФЗ), ИП Постников П. В. обрабатывает ПДн клиентов Заказчика — учащихся образовательного центра и их законных представителей. В этом случае оператором является Заказчик (образовательный центр): он определяет цели и состав обработки, получает согласия субъектов и отвечает перед ними за законность обработки. Условия такой обработки установлены Договором поручения на обработку персональных данных, являющимся приложением к Публичной оферте.
3.3. Обработка по поручению ведётся исключительно в объёме и целях, определённых Заказчиком, и только в составе фактически подключённых им Модулей. Оператор не использует данные клиентов Заказчика в собственных целях, не объединяет базы разных Заказчиков и не передаёт данные одного Заказчика другому.
4.1. Обработка ведётся на основе принципов законности, ограничения обработки заранее определёнными целями, недопустимости объединения баз данных с несовместимыми целями, соответствия состава данных целям, точности данных, ограничения срока хранения и уничтожения по достижении целей (ст. 5 152-ФЗ).
| Категория субъектов | Правовое основание | Подтверждающий документ |
|---|---|---|
| Представители и пользователи Заказчика (Личный кабинет) | п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора | Публичная оферта, акцепт в Личном кабинете |
| Клиенты Заказчика: учащиеся и их законные представители | п. 2 ч. 1 ст. 6, ч. 3 ст. 6 152-ФЗ — обработка по поручению оператора | Договор поручения; согласие субъекта, полученное и хранимое Заказчиком |
| Лица, оставившие обращение на сайте сервиса | п. 1 ч. 1 ст. 6 152-ФЗ — согласие субъекта | Отдельное согласие, оформленное отдельным интерфейсом с фиксацией в журнале |
| Контрагенты и их представители | п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора; п. 2 ч. 1 ст. 6 — требование закона (учёт, отчётность) | Договор, первичные документы |
5.1. В отношении пользователей Личного кабинета: фамилия, имя, отчество; адрес электронной почты (логин); номер телефона; наименование и реквизиты организации; должность; идентификатор и имя учётной записи в Telegram при использовании входа через Telegram; пароль в виде необратимого хеша; IP-адрес, сведения об устройстве и браузере; журнал действий в системе.
5.2. В отношении клиентов Заказчика — по каждому Модулю отдельно:
| Модуль | Категории ПДн | Особенности |
|---|---|---|
| Аналитика и отчётность | Фамилия и имя учащегося, идентификатор карточки в системе-источнике Заказчика, данные об обучении: посещаемость, успеваемость, абонемент, оплаты | Действует принцип минимизации: телефон, адрес и e-mail в отчётах не отображаются, вместо них используется ссылка на карточку в системе-источнике Заказчика |
| Чаты | Имя в мессенджере, содержание переписки, вложения (файлы, изображения, голосовые сообщения) и содержащиеся в них сведения, номер телефона, если он передан субъектом в переписке, время активности | Обработка на территории РФ. Сообщения передаются через инфраструктуру мессенджера (официальный бот Сервиса или личный номер школы в WhatsApp/Telegram/MAX). Для MAX файлы и изображения хранятся в инфраструктуре мессенджера, сервис хранит только ссылку на них. Для личного номера Telegram/WhatsApp вложения технически хранятся сервисом временно — не более 30 суток, автоматически удаляются по истечении срока. Документы, удостоверяющие личность, через переписку не запрашиваются |
| Лид-хаб и приём заявок (в том числе бот в мессенджере) | Имя, номер телефона, текст обращения, источник обращения | Агрегация из каналов, подключённых самим Заказчиком, и передача в систему-источник Заказчика |
| Телефония (уведомления о звонках) | Номер телефона абонента, время и длительность вызова, добавочный номер сотрудника | Подключается Заказчиком самостоятельно вводом собственного токена АТС. Содержание разговоров при этом не обрабатывается |
| Анализ звонков и контроль качества | Аудиозапись разговора, её текстовая расшифровка, номер телефона | Модуль не предоставляется до ввода в эксплуатацию средств распознавания речи, размещённых на территории РФ. См. п. 5.4 |
5.3. Оператор не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь, судимость) и не обрабатывает биометрические персональные данные. Записи телефонных разговоров, при вводе соответствующего Модуля в эксплуатацию, не используются и не будут использоваться для установления личности субъекта, в связи с чем не образуют биометрические персональные данные.
5.4. Модуль анализа звонков и контроля качества по состоянию на дату настоящей редакции не подключён ни одному Заказчику и не используется. Модуль будет предоставлен только после ввода в эксплуатацию средств распознавания и анализа речи, размещённых на территории Российской Федерации, с одновременным опубликованием соответствующей редакции настоящей Политики и Договора поручения.
5.5. Оператор не собирает персональные данные непосредственно у несовершеннолетних. Данные учащихся поступают в сервис из информационных систем Заказчика, который отвечает за получение согласия законных представителей.
6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).
6.2. Серверы сервиса и серверы резервного копирования размещены в дата-центрах на территории Российской Федерации (г. Санкт-Петербург). Резервные копии не покидают территорию Российской Федерации.
6.3. Изоляция данных разных Заказчиков обеспечивается на уровне системы управления базами данных построчными политиками доступа, применяемыми принудительно ко всем подключениям приложения.
7.1. Оператор вправе привлекать третьих лиц для технического обеспечения сервиса, обеспечивая соблюдение ими требований конфиденциальности и защиты ПДн не ниже установленных настоящей Политикой. Актуальный перечень таких лиц публикуется по адресу alfa-analytics.ru/subprocessors.html и является частью настоящей Политики. Об изменениях перечня Заказчики уведомляются не менее чем за 10 календарных дней до привлечения нового лица.
7.2. Помимо указанных лиц, персональные данные передаются: оператору мессенджера и оператору связи — в объёме, необходимом для доставки сообщений и обслуживания вызовов, инициированных самим субъектом; в информационную систему Заказчика — по его поручению; государственным органам — в случаях и объёме, предусмотренных законодательством Российской Федерации.
7.3. Оператор не передаёт персональные данные третьим лицам в рекламных, маркетинговых или иных собственных целях и не использует сторонние системы веб-аналитики и рекламные трекеры в Личном кабинете.
8.1. Трансграничная передача персональных данных Оператором в собственных целях не осуществляется. Хранение и обработка ведутся исключительно на территории Российской Федерации.
8.1.1. Исключение составляет случай, когда Заказчик самостоятельно выбирает в качестве канала уведомлений мессенджер, обслуживаемый иностранным лицом (Telegram). В этом случае направление уведомлений в такой канал выполняется по поручению Заказчика и означает передачу содержания уведомления за пределы Российской Федерации; правовые основания такой передачи обеспечивает Заказчик как оператор. Оператор рекомендует и по умолчанию подключает мессенджер MAX, инфраструктура которого размещена в Российской Федерации. Подробнее — в Перечне лиц, привлекаемых к обработке.
8.2. Если в будущем для отдельных функций потребуется передача данных в иностранные государства, такая передача начнётся не ранее получения предусмотренного законом разрешения Роскомнадзора, уведомления Заказчиков и опубликования новой редакции настоящей Политики. Отдельные условия использования функций искусственного интеллекта установлены документом «Условия использования функций ИИ»; на дату настоящей редакции такие функции не активированы ни у одного Заказчика.
9.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки. Данные, обрабатываемые по поручению Заказчика, хранятся в течение срока действия договора с Заказчиком и подключения соответствующего Модуля.
9.2. По прекращении договора либо по отключении Модуля данные уничтожаются в срок не более 30 календарных дней, если более длительный срок хранения не предусмотрен законодательством Российской Федерации. По письменному запросу Заказчика, направленному до истечения этого срока, вместо уничтожения предоставляется выгрузка данных в машиночитаемом формате.
9.3. Данные, необходимые для исполнения требований законодательства о бухгалтерском и налоговом учёте (реквизиты Заказчика, расчётные документы), хранятся в течение установленных законом сроков.
9.4. Факт уничтожения персональных данных фиксируется актом. Уничтожение резервных копий, содержащих подлежащие уничтожению данные, производится по истечении срока их ротации, но не позднее 60 календарных дней; до момента уничтожения такие копии не используются для восстановления удалённых данных.
10.1. Субъект вправе получить сведения о факте, целях, правовых основаниях и способах обработки его данных, о лицах, имеющих к ним доступ, о сроках обработки; требовать уточнения, блокирования или уничтожения данных; отозвать согласие.
10.2. Запрос направляется на support@alfa-analytics.ru или по почтовому адресу Оператора и должен содержать сведения, позволяющие идентифицировать субъекта, и подтверждение его личности или полномочий представителя.
10.3. Сведения предоставляются в срок не более 10 рабочих дней с даты обращения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта. Уточнение, блокирование и уничтожение производятся в срок не более 10 рабочих дней.
10.4. Если данные субъекта обрабатываются по поручению Заказчика, Оператор в срок не более 3 рабочих дней перенаправляет обращение Заказчику как оператору и уведомляет об этом субъекта, поскольку решение по существу принимает Заказчик.
11.1. Уровень защищённости информационных систем определяется в соответствии с Постановлением Правительства РФ № 1119 и фиксируется актом; при изменении состава обрабатываемых данных или числа субъектов уровень пересматривается.
11.2. Организационные меры: назначение ответственного за организацию обработки ПДн; утверждённые перечни обрабатываемых ПДн и информационных систем; перечень лиц, допущенных к обработке, и их ознакомление под подпись с требованиями законодательства; внутренний контроль соответствия обработки; порядок реагирования на инциденты; обязательства о неразглашении для всех привлекаемых лиц.
11.3. Технические меры: шифрование каналов передачи данных (TLS 1.2/1.3); шифрование отдельных чувствительных полей в базе данных; хранение паролей в виде необратимых хешей; разграничение доступа по ролям и по подразделениям Заказчика; принудительная построчная изоляция данных разных Заказчиков в базе данных; журналирование действий пользователей и административных операций; регулярное резервное копирование с проверкой восстановления и хранением копии на отдельном сервере; сегментация сред разработки и эксплуатации; обезличивание данных в среде разработки; контроль состава и обновление используемого программного обеспечения.
11.4. Для критических операций в Личном кабинете (изменение владельца учётной записи, массовая выгрузка данных, удаление учётной записи) применяется дополнительное подтверждение личности пользователя.
11.5. Заказчик самостоятельно отвечает за сохранность учётных данных своих пользователей, своевременное отключение доступа уволенным сотрудникам и за действия своих пользователей в Личном кабинете.
12.1. Под инцидентом понимается неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление или распространение, а равно иные неправомерные действия в отношении персональных данных.
12.2. При выявлении инцидента, затрагивающего данные, обрабатываемые по поручению Заказчика, Оператор уведомляет Заказчика не позднее 6 часов с момента выявления, с указанием характера инцидента, затронутых категорий данных, предполагаемого числа субъектов и принятых мер. Сокращённый срок установлен для того, чтобы Заказчик как оператор успел исполнить собственные обязанности по уведомлению Роскомнадзора в течение 24 часов и по представлению результатов внутреннего расследования в течение 72 часов.
12.3. В отношении данных, обрабатываемых Оператором самостоятельно, уведомление Роскомнадзора и субъектов направляется Оператором в сроки, установленные законодательством.
12.4. По каждому инциденту проводится внутреннее расследование, результаты фиксируются в журнале учёта инцидентов, принимаются меры по устранению причин.
13.1. В Личном кабинете используются только технически необходимые файлы cookie, обеспечивающие авторизацию и безопасность сессии. Рекламные и сторонние аналитические трекеры в Личном кабинете не используются.
13.2. Отключение технически необходимых cookie средствами браузера делает работу Личного кабинета невозможной.
14.1. Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента публикации на сайте, если в ней не указан иной срок.
14.2. При существенных изменениях (изменение целей обработки, расширение состава обрабатываемых данных, привлечение нового лица к обработке) Заказчики уведомляются по адресу электронной почты, указанному в Личном кабинете, не менее чем за 10 календарных дней до вступления изменений в силу.
14.3. Предыдущие редакции сохраняются и доступны по запросу.
15.1. Вопросы, запросы субъектов и обращения по фактам инцидентов направляются на support@alfa-analytics.ru или по адресу: 625028, г. Тюмень, ул. Родниковая, д. 46.
15.2. Настоящая Политика вступает в силу с 07.08.2026 и действует до утверждения новой редакции.